<4D F736F F D D32322D474D20432D D4C6B7FECEF1B0B2C8ABB9DCC0EDC8CFD6A4B3CCD0F2B9E6D4F2>

Size: px

Start display at page:

Download "<4D F736F F D D32322D474D20432D D4C6B7FECEF1B0B2C8ABB9DCC0EDC8CFD6A4B3CCD0F2B9E6D4F2>"

顿藏黄
5 years ago
Views:

1 文件号版本号 CEPREI-22-GM 1 分发序号 : C-STAR 云服务安全管理认证程序规则赛宝认证中心 CEPREI-22-GM 第 1 页

2 目录 1. 总则目的适用范围主要依据文件术语说明职责申请方条件责任和义务申请方应具备的基本条件申请方 / 受审核方的权利和义务认证的公正性管理委员会的组成评估结论决定人员的组成能力管理人员能力要求人员的选择与评价能力保持提高及行为监视认证程序认证决定人员管理申请受理及合同评审评估人日评估策划和准备现场评估评估的特殊要求评估结论决定活动评估结论的批准暂停撤销和注销评估证书和标志的管理监督和再评估评估要求变更管理 CEPREI-22-GM 第 2 页

3 1. 总则 1.1. 目的为使申请方 / 受审核方 / 获证组织全面了解赛宝认证中心 ( 以下简称本中心 ) 受理并实施 C-STAR 云服务安全管理认证的全过程, 便于本中心有序有效地开展 C-STAR 云服务安全管理认证工作, 保证 C-STAR 云服务安全评估的工作质量, 满足 CSA(Cloud Security Alliance) 的授权要求, 特制定本程序规则 1.2. 适用范围本程序规则适用于本中心开展的 C-STAR 云服务安全管理认证工作, 可为申请方 / 受审核方 / 获证组织进行 C-STAR 云服务安全管理认证 / 注册提供指导 1.3. 主要依据文件 1) ISO/IEC 27006:2015 idt CNAS-CC170:2017 信息安全管理体系认证机构要求 ; 2) Cloud Control Matrix V3.0.1 云安全控制矩阵 ; 3) C-STAR 评估规则有关的规定 ; 4) ISO/IEC27001:2013idt GB/T 信息技术安全技术信息安全管理体系要求 1.4. 术语说明根据认证过程的变化, 本规则对申请认证单位使用了不同的称呼 : 申请方 : 认证审核之前受审核方 : 审核过程中及获证前获证组织 : 获得公 C-STAR 云服务安全管理认证证书后 1.5. 职责管理委员会技术委员会各业务部门的职责与 ISO27001 信息安全管理体系认证相同, 但在具体的运作要求上, 在开展 C-STAR 项目的评估工作时, 应遵第 3 页

4 循本计划的要求 2. 申请方条件责任和义务 2.1. 申请方应具备的基本条件 1) 持有法定登记注册证明, 如独立法人地位证明文件等, 如果申请方是大组织的一部分 ( 无独立法人资格 ), 应持有大组织的授权证明等 ; 2) 已 ( 或正在指意向阶段 ) 按相应的 C-STAR 云服务安全管理认证要求, 建立文件化的管理体系, 并实施运行至少 3 个月 3) 申请方已按规定实施了内部审核和管理评审, 且时间间隔不超过 12 个月, 没有发现重大不足 4) 认证申请组织应具备评价和保持法律法规符合性的机制, 并按规定向有关部门及相关方通报所发现的不符合情况 2.2. 申请方 / 受审核方的权利和义务申请方 / 受审核方的权利 1) 自主选择咨询单位 2) 与本中心协商确定认证采用的模式标准和认证时间 3) 对参加评估审核的人员审核日期安排有异议时, 与本中心协商解决 4) 有权对本中心的认证活动等提出申诉 / 投诉和异议申请方 / 受审核方的义务 1) 按本中心要求提交申请文件及其附件 ; 2) 为本中心提供保证审核工作顺利进行必要的食宿行及办公条件 ; 3) 为本中心审核组进入审核区域调阅文件记录安排被访问人员等提供必要的条件 ; 适用时, 为接纳到场的观察员 ( 如认可机构评审员 ) 提供第 4 页

5 条件 4) 保留顾客和 / 或相关方就获证组织的活动产品或服务所提出的所有投诉记录, 信息沟通记录及相应纠正措施记录, 并在本中心要求时提供重要投诉应及时通报赛宝认证中心 5) 按规定及时交纳认证费用 6) 管理体系认证申请组织有责任保持并评价法律法规要求的符合性 3. 认证的公正性 3.1. 管理委员会的组成管理委员会的组成原则应遵循 CEPREI-01 管理委员会章程的要求, 无进一步要求, 但专业能力应考虑云计算安全管理行业的特殊性 3.2. 评估结论决定人员的组成相关要求参见 CEPREI-03 技术委员会工作细则及 CEPREI-QP-14 认证决定程序 C-STAR 评估结论决定人员的能力要求与 ISMS 体系一致, 具体见 QP-48 ISMS 审核专业管理和审核员专业能力评定程序 4. 能力管理 4.1. 人员能力要求 C-STAR 云服务安全管理认证涉及人员, 如合同评审人员评估方案管理人员专业能力见证评价和专业培训指导人员评估结论决定人员专业评估师等的能力要求见 C-STAR 评估相关人员能力分析报告和 C-STAR 审核员能力要求 4.2. 人员的选择与评价 C-STAR 云服务安全管理认证业务对口管理部门依本中心文件 CEPREI-QP-02 人员录用培训及监督程序对该业务人员进行选择和评价第 5 页

6 4.3. 能力保持提高及行为监视除依据 CEPREI-QP-08 审核员管理程序等程序实施能力保持提高及行为监视外, 中心 1) 每年对 C-STAR 云服务安全管理认证知识实施专题研讨培训, 培训参与人员应覆盖 4.1 条所列人员 ; 2) 中心指定专人负责 C-STAR 云服务安全管理认证信息及知识的收集, 该负责人应负责整理相关信息并传递到 4.1 条所涉及人员, 并识别培训需求, 实施必要培训 5. 认证程序 5.1. 认证决定人员管理作为 C-STAR 云服务安全管理认证决定人员应特别强调如下条件 : 1) C-STAR 云服务安全管理认证决定人员已经接受了 C-STAR 的培训, 并评价合格 ; 2) 具有专业的认证决定人员对评估结论决定具有否决权 5.2. 申请受理及合同评审市场拓展部依据 CEPREI-QP-06 合同管理程序及 CEPREI-QP-11 认证申请受理程序规定的步骤实施申请受理及合同评审, 签订 C-STAR 云服务安全管理认证合同时, 还应由 C-STAR 的合同评审人员进行评审对受评估方的要求如下 : 1) C-STAR 云服务安全管理认证适用于所有采用云计算技术和 / 或提供云计算服务的组织 ; 2) 应提交 C-STAR 评估申请书 ( 含调查表 ) 及其附件第 6 页

7 5.3. 评估人日 C-STAR 云服务安全管理认证初次评估监督评估及再评估的人日确定依照 CEPREI-QP-51 信息安全管理体系审核人日数控制程序中有关的人日控制要求执行 ; 若 C-STAR 评估与 GB/T22080 认证审核共同开展, 则 C-STAR 评估部分的工作人日数应保证至少为 GB/T22080 审核时间的 0.5 倍 5.4. 评估策划和准备评估组如果 C-STAR 评估与 GB/T22080 认证审核共同开展, 组成评估组的原则, 除依照 CEPREI-QP-50 ISMS 第二阶段审核程序中的相关要求进行外, 还应满足 QP-48 ISMS 审核专业管理和审核员专业能力评定程序对于 C-STAR 评估组要求具备以下知识和能力 : 1) 具有对 CCM(cloud control matrix) 做出符合和不符合判断的能力 ; 2) 掌握以下云计算服务涉及的知识, 并在评估的时候能对云计算服务安全措施做出合理的判断 : 1) 应用和接口安全 2) 审核保证 3) 业务连续性管理和操作弹性 4) 变更控制和配置管理 5) 数据安全和信息生命周 9) 人力资源 10) 标识和访问管理 11) 基础设施和虚拟化安全 12) 互操作性和可移植性 13) 移动安全 14) 安全事件管理及电子证期管理据 6) 数据中心安全 7) 加密和密钥管理 15) 供应链管理 16) 威胁和脆弱性管理评估准备 8) 治理和风险管理第 7 页

8 评估组应根据提交的文件资料及受审核方云服务安全管理特点进行审核策划, 包括 : 1) 评估受评估方的管理文件, 并依此确认受评估方对评估的准备程度 ; 2) 收集关于受评估方的体系范围相关的法律法规要求和遵守情况 ; 3) 审查现场评估所需资源的配置情况 ; 4) 结合可能的重要因素充明确现场评估关注点 ; 5) 拟制评估计划, 并将经批准的评估计划提交申请方确认, 评估计划应覆盖 C-STAR 的全部要求 5.5. 现场评估 C-STAR 云服务安全管理评估的工作程序与 ISO27001 的审核相同现场评估依照 CEPREI-QP-50 ISMS 第二阶段审核程序执行, 并重点关注虚拟化安全可移植性与互操作性移动安全数据安全等云计算核心领域的安全管理情况, 最终形成 C-STAR 云安全评估报告已经获得 ISMS 证书的企业, 则评估工作可结合 ISMS 审核报告和 C-STAR 评估内容共同开展 1) 首次会议现场评估开始的时候, 审核组长应主持召开受审核方领导参加的首次会议, 向受审核方有关负责人说明评估审核计划审核程序方法审核的可能结果违反法律法规和其它要求的处理以及不符合类型及保密承诺等 ; 2) 现场取证及评价评估组根据评估计划, 采取提问交谈查阅文件资料现场观察实际测定等方法, 取得确切的证据, 记录评估情况, 对受审核方的云服务安全管理进行符合性有效性和成熟度评价第 8 页

9 在评估审核期间, 受审核方应予以协助配合, 并保证 : a. 评估组能够查阅和云服务安全管理有关的文件资料和相关记录, 包括原始记录 ; b. 评估组能够进入与云服务安全管理评估有关的场所 ( 若受审核方认为某些场所为本单位的机密场所, 应在首次会议上说明, 双方协商解决 ); c. 评估组能够访问与云服务安全管理有关的人员 ; d. 为评估组提供进行云服务安全管理评估审核所必需的设施和条件, 并指定联络人员 3) 末次会议现场评估审核结束时, 评估组长应主持召开受审核方领导参加的末次会议, 对受审核方云服务安全管理的符合性有效性和成熟度作出评价, 宣布现场审核的结论 ; a. 受审核方如对评估结论有不同看法, 与评估组不能达成一致意见时, 应记录在云安全评估报告中 ; b. 审核组应就现场评估审核发现的不符合项 ( 经确认的 ) 与受审核方商定在一个适当的时间内采取纠正措施对一般不符合项采取纠正措施的时间要求一般不超过一个月, 严重不符合项一般不超过三个月 c. 现场审核全部结束后, 审核组将现场审核报告及全套审核文件及记录交部门行政人员注 : 现场审核时应尽量避免 C-STAR 和 ISMS 条款的重复审核, 审核条款的重复部分可参考 CCM 评估记录 C-STAR 评估, 具体评估的工作程序与 ISO27001 的审核相同, 但是 C-STAR 第 9 页

10 云服务安全管理评估记录应使用 C-STAR 专用表格多场所 ( 现场 ) 和临时场所 ( 现场 ) 的评估多场所 ( 现场 ) 和临时场所 ( 现场 ) 的评估依照 CEPREI-QP-26 多现场抽样审核控制程序评估计划中应明确对云计算服务多场所和临时场所的评估要求评估结果的判定不符合项的判断准则没有满足某个规定的要求称为不符合判定不符合可遵照如下三条审核准则 : 1) Cloud Control Matrix V3.0.1 云安全控制矩阵 ; 2) C-STAR 评估规则有关的规定 ; 3) ISO/IEC27001:2013idt GB/T 信息技术安全技术信息安全管理体系要求 4) 安全管理手册程序文件及其它相关管理文件 ; 5) 适用于组织的信息安全法律法规及其他要求不符合类型不符合项通常分为严重不符合项和一般不符合项 1) 严重不符合项 a) 体系运行出现系统性失效如某一要素或关键过程重复出现的失效现象, 即多次重复发生不符合现象, 而又未能采取有效的纠正措施加以消除, 形成系统性失效 b) 体系运行出现区域性失效如某一部门要素的全面失效现象 c) 造成严重的信息安全事件, 或存在潜在严重后果的信息安全风险 d) 组织信息安全行为违反法律法规或其它要求第 10 页

11 2) 一般不符合项凡出现下列情况为一般不符合项 : a) 对满足信息安全管理体系要素或体系文件要求而言, 是个别的偶然的孤立的性质轻微的不合格 b) 对保证所审区域的体系而言, 是个次要的问题严重不符合项和一般不符合项的判定对审核结论有决定性问题, 对受审核方能否通过信息安全管理体系认证有关键作用, 审核员应谨慎判定对不符合的判定依据 CEPREI-QP-50 ISMS 第二阶段审核程序的 3.8 执行 5.6. 评估的特殊要求每次审核无论是初次评估监督检查还是再评估, 均应对以下方面给予特别关注 : 1) 顾客对云服务安全管理的特殊要求 ; 2) 顾客对组织关于云服务安全管理过程的投诉及组织对投诉过程的处理 ; 3) 自我评估和管理评审提出的相关整改措施 ; 4) 顾客满意的情况 6. 评估结论决定活动 6.1. 评估结论的批准评估结论决定活动参照 CEPREI-QP-14 认证决定程序中 ISMS 认证的相关要求执行 6.2. 暂停撤销和注销本中心对获证组织做出的暂停撤消和注销活动按照 CEPREI-QP-24 认证的暂停撤销注销管理程序规定执行第 11 页

12 7. 评估证书和标志的管理评估证书和标志的管理依照 CEPREI-QP-15 认证证书和标志管理程序证书模板见附录一 :C-STAR 证书模板 8. 监督和再评估该过程参照 CEPREI-QP-16 监督审核特殊审核和再认证程序执行 9. 评估要求变更管理该过程参照 CEPREI-QP-23 认证变更的管理程序执行第 12 页

13 附录一 :C-STAR 证书模板第 13 页

14 第 14 页

<4D F736F F D D34332D474D F D4C6B7FECEF1D0C5CFA2B0B2C8ABB9DCC0EDCCE5CFB5C8CFD6A4B3CCD0F2B9E6D4F22D >

<4D F736F F D D34332D474D F D4C6B7FECEF1D0C5CFA2B0B2C8ABB9DCC0EDCCE5CFB5C8CFD6A4B3CCD0F2B9E6D4F22D > 文件号 -43-GM 版本号 1 ISO/IEC 27017 云服务信息安全管理体系认证程序规则广州赛宝认证中心服务有限公司目录 1. 总则... 3 1.1. 目的... 3 1.2. 适用范围... 3 1.3. 主要依据文件... 3 1.4. 术语说明... 3 1.5. 职责... 4 2. 申请方应具备的基本条件... 4 3. 申请方条件责任和义务... 4 3.1. 申请方